Los equipos de seguridad ya no solo compiten contra atacantes más rápidos. Compiten contra el volumen. Cada nueva herramienta aporta visibilidad, cada escáner añade hallazgos, cada feed suma señales y cada modelo de IA promete detectar más. El resultado, muchas veces, no es una defensa más ágil, sino una cola interminable de alertas que obliga a decidir a ciegas qué se corrige primero.
El informe Under Pressure: The 2026 Exposure Gap Report, publicado por Check Point, pone cifras a ese problema. Las vulnerabilidades se han convertido en la mayor fuente de exposición crítica en 2026, con el 42,6 % del total, más del doble que el 18,7 % registrado un año antes. Al mismo tiempo, las webs de phishing han pasado del 1,0 % al 10,5 % de las exposiciones críticas. La presión crece por dos vías: más fallos explotables y más infraestructura maliciosa activa.
Pero el dato más importante para un SOC no es ese. Es otro: tras validar explotabilidad, solo el 7,8 % de las alertas de vulnerabilidad merecía atención crítica o alta. En otras palabras, más del 90 % no debía competir por el mismo nivel de urgencia. Ahí está el problema operativo: no basta con saber qué está expuesto, hay que saber qué puede explotarse, contra qué activo, con qué controles presentes y con qué impacto real.
El “exposure gap” ya no es una teoría
Check Point llama exposure gap a la distancia entre visibilidad, priorización y remediación segura. Es una definición útil porque describe lo que ocurre en muchas organizaciones: se detectan riesgos, se generan tickets, se discuten prioridades y, mientras tanto, el atacante prueba automáticamente sistemas expuestos, credenciales, phishing kits y CVE conocidos.
La automatización y la IA no han reducido esa tensión. La han acelerado. Los atacantes pueden escanear más superficie, probar más combinaciones y validar más vectores de entrada con menos esfuerzo. Frente a eso, los ciclos tradicionales de parcheo y triaje manual empiezan a quedarse fuera de ritmo.
El informe insiste en una idea que debería ser central en cualquier programa de seguridad: exposure management no es ver más, sino decidir mejor. El valor está en reducir una población enorme de alertas a un conjunto pequeño de riesgos explotables y relevantes para el negocio. Para ello, Check Point plantea combinar descubrimiento, contexto, validación de explotabilidad, evaluación de controles y remediación segura en un mismo flujo.
Esto tiene implicaciones directas para los equipos de vulnerabilidades. El CVSS sigue siendo útil, pero no puede ser el único criterio. Una vulnerabilidad crítica en papel puede estar compensada por controles, no estar expuesta o no tener una ruta real de ataque en ese entorno. En cambio, una credencial filtrada, un token expuesto o una web de phishing activa pueden exigir acción inmediata aunque no entren en el clásico pipeline de parcheo.
La seguridad defensiva se está moviendo de la severidad teórica a la explotabilidad demostrada.
No todos los sectores tienen el mismo riesgo
Una de las partes más interesantes del informe es la diferencia por industrias. En utilities, las vulnerabilidades representan el 78,2 % de las exposiciones críticas. En gobierno, el 56,4 %. Son sectores donde la reducción de riesgo depende mucho de identificar fallos explotables y corregirlos sin interrumpir sistemas sensibles.
En sanidad, el patrón cambia. La exposición de información interna concentra el 63,6 % de las exposiciones críticas, el porcentaje más alto entre los sectores analizados. El informe vincula esta dificultad con entornos de tecnología heredada, sistemas clínicos conectados, datos de pacientes, terceros y requisitos estrictos de disponibilidad. No se trata solo de parchear rápido; se trata de hacerlo sin poner en riesgo operaciones clínicas.
Servicios financieros muestra un perfil más repartido. La exposición de información interna supone el 42,7 %, los archivos maliciosos el 27,8 %, y también aparecen credenciales comprometidas, vulnerabilidades, tokens expuestos y phishing. Es un sector con muchas rutas de ataque a la vez: identidad, aplicaciones expuestas, malware, fraude, phishing y datos sensibles.
Esta diferencia importa porque muchas estrategias de seguridad siguen copiando plantillas genéricas. Un hospital, una eléctrica, una administración pública y un banco no deberían priorizar igual. La superficie de ataque, los activos críticos, los controles de cambio y la tolerancia a interrupciones no son los mismos.
| Sector | Exposición dominante | Peso | Mediana de remediación |
|---|---|---|---|
| Servicios financieros | Información interna expuesta | 42,7 % | 48,5 horas |
| Sanidad | Información interna expuesta | 63,6 % | 158,8 horas |
| Gobierno | Vulnerabilidades | 56,4 % | 25,4 horas |
| Utilities | Vulnerabilidades | 78,2 % | 12,6 horas |
Los datos también muestran que velocidad y volumen no siempre van juntos. Servicios financieros registra el mayor volumen medio de remediaciones mensuales por organización, con 10.155, pero utilities consigue la mediana de cierre más rápida, con 12,6 horas. Sanidad, en cambio, llega a 158,8 horas de mediana, aunque mantiene una tasa alta de implementación de correcciones recomendadas.
Remediar no siempre significa parchear en caliente
El informe dedica una parte relevante a la remediación. La idea de fondo es que los atacantes ya no esperan a que las organizaciones completen sus ciclos internos. En algunos casos, la explotación aparece antes incluso de que exista parche disponible, lo que deja a los defensores en una posición incómoda: el fix llega después de que la vía de ataque ya esté activa.
Por eso la remediación moderna no puede reducirse a “abrir ticket y aplicar parche”. Puede incluir parcheo virtual, activación de IPS, reglas WAF, bloqueo de indicadores de compromiso, retirada de infraestructura de phishing, aislamiento temporal de activos o cambios de configuración. La corrección definitiva sigue siendo necesaria, pero los controles intermedios pueden reducir exposición mientras se ejecuta el cambio de fondo.
Check Point señala que, en los sectores analizados, las organizaciones actuaron de media sobre el 85,9 % de las correcciones recomendadas. Utilities lidera la remediación en menos de una hora, con el 30 % de organizaciones logrando ese cierre para exposiciones críticas, seguida de servicios financieros con el 23,1 %, gobierno con el 14,3 % y sanidad con el 7,7 %.
La lectura para los responsables de seguridad es clara: el objetivo no es cerrar todas las alertas al mismo ritmo. El objetivo es que las pocas que importan no se queden atascadas en procesos lentos, comités, ventanas de cambio o tickets sin dueño.
La nueva métrica de madurez: foco y velocidad segura
Durante años, muchas organizaciones midieron su postura de seguridad por volumen: número de vulnerabilidades detectadas, tickets cerrados, parches aplicados, controles desplegados. El informe de Check Point sugiere que esa métrica se queda corta. La madurez real está en identificar lo explotable, asignar responsables, aplicar controles adecuados y reducir exposición antes de que el atacante convierta una oportunidad en incidente.
Esto no elimina la necesidad de escáneres, inventario, EDR, WAF, IPS, inteligencia de amenazas o herramientas de CAASM. Lo que cambia es la forma de unir esas piezas. Si cada herramienta genera su propia lista de urgencias, el SOC acaba gestionando ruido. Si las señales se cruzan con contexto de negocio, explotabilidad y cobertura de controles, la cola de trabajo empieza a tener sentido.
El informe también sirve como aviso contra una mala adopción de IA defensiva. Añadir IA para generar más alertas no resuelve el problema. Puede agravarlo. La IA defensiva será útil si ayuda a validar, correlacionar, explicar y priorizar. Será un problema si solo convierte señales débiles en más tickets.
La seguridad entra en una fase donde la pregunta ya no es “¿cuántas vulnerabilidades tengo?”, sino “¿cuáles pueden usar contra mí hoy y qué puedo hacer sin romper el negocio?”. Esa es la diferencia entre gestión de vulnerabilidades y gestión de exposición.
Preguntas frecuentes
¿Qué es el exposure gap?
Es la distancia entre detectar una exposición, priorizarla con contexto real y remediarla de forma segura antes de que pueda convertirse en un incidente.
¿Por qué el 7,8 % es un dato importante?
Porque indica que solo una pequeña parte de las alertas de vulnerabilidad analizadas exigía atención crítica o alta tras validar explotabilidad. Ayuda a separar urgencia real de ruido.
¿Qué sectores aparecen más expuestos a vulnerabilidades?
Utilities y gobierno. En utilities, las vulnerabilidades representan el 78,2 % de las exposiciones críticas; en gobierno, el 56,4 %.
¿Por qué sanidad tarda más en remediar?
El informe apunta a sistemas heredados, requisitos de disponibilidad clínica, controles de cambio y dependencias de terceros. Aun así, sanidad mantiene una tasa alta de implementación de correcciones recomendadas.
¿La gestión de exposición sustituye a la gestión de vulnerabilidades?
No. La amplía. Añade contexto, validación de explotabilidad, evaluación de controles y remediación segura para decidir qué debe corregirse primero.
